Mozilla обошла защиту Windows 10 по установке дефолтных программ

Firefox теряет пользователей еще и потому, что разработчики различных web-сервисов просто игнорируют существование браузера и пишут свои сервисы исключительно для движка Chromium. Особенно это заметно по работе :(

Причём в Windows 11 компания Microsoft ещё больше усложняет установку сторонних приложений по умолчанию. После выбора альтернативного браузера Windows 11 предлагает передумать и оставить Edge по умолчанию

Вообще-то и Windows 10 так же делает.

Цирк с конями, что со стороны Майкрософта, что со стороны Мозиллы.

Мозилла типа не осознаёт, что её кодом теперь воспользуются всякие малварьщики и опять каждая инсталяха будет нам ставить в систему Бла-бла-бла-браузер с кастомной рекламой и поиском?

Майкрософт типа не осознаёт, что у неё и так конкурентное преимущество с главной десктопной ОС и дефолтным браузером в ней, зачем ещё эти козни с упрощённой сменой дефолтного браузера для себя и палки в колёса остальным? Сделайте упрощённый режим для всех приложений с валидной подписью и кросс-подписью Майкрософта (как для драйверов сделали) и это хорошо отделит вирусописателей от разработчиков браузеров.

К сожалению, в заметке не было приведено никаких технических деталей, поэтому пришлось немного поковыряться в репозитории mozilla-central.

Код, отвечающий за установку браузера по умолчанию, находится по пути ./toolkit/mozapps/defaultagent/ в файле SetDefaultBrowser.cpp.

Комментарий в файле SetDefaultBrowser.cpp:

The hash changes at the end of each minute, so check that the hash should be the same by the time we're done writing.

Хэш изменяется в конце каждой минуты, поэтому проверяем, чтобы хэш был тем же в момент, когда мы закончим запись значения.

Функция SetDefaultBrowserUserChoice в файле SetDefaultBrowser.cpp вызывает функцию SetUserChoice, в которой и происходит вся "магия".

А за магию отвечает функция GenerateUserChoiceHash, которая, в свою очередь, реализована в файле ./browser/components/shell/WindowsUserChoice.cpp.

Ключевые функции файла WindowsUserChoice.cpp:

• CheckBrowserUserChoiceHashes

• CheckUserChoiceHash

• GenerateUserChoiceHash

Константа userExperience жёстко задана (содержит текст и GUID) и является неотъемлемой частью алгоритма UserChoice в Windows:

const wchar_t* userExperience =
    L"User Choice set via Windows User Experience "
    L"{D18B6DD5-6124-4341-9318-804003BAFA0B}";

С использованием этой константы (userExperience) в функции GenerateUserChoiceHash формируется строка (FormatUserChoiceString), которая затем хэшируется. В качестве хэша используется MD5, результат дополнительно модифицируется.

UniquePtr<wchar_t[]> GenerateUserChoiceHash(const wchar_t* aExt,
        const wchar_t* aUserSid,
        const wchar_t* aProgId,
        SYSTEMTIME aTimestamp) {
    auto userChoice = FormatUserChoiceString(aExt, aUserSid, aProgId, aTimestamp);
    if (!userChoice) {
        return nullptr;
    }
    return HashString(userChoice.get());
}

Параметрами функции являются:

• Протокол или расширения файлов:

  • https, http, .html, .htm

• UserSID — SID (security identifier) пользователя

• Идентификатор программы:

  • FirefoxURL — для протоколов https и http

  • FirefoxHTML — для файлов .html и .htm

• Отметка времени (см. комментарий выше о требованиях к отметке времени)

В комментариях к коду также сказано, что алгоритм подходит не для всех версий Windows, в частности, в версиях до Windows 1703 алгоритм не включал отметку времени, но включал путь к исполняемому файлу. Алгоритм должен работать в версиях, начиная со сборки Windows 1703.

Как я понял из комментариев, функционал базируется на исследовании, которое выполнил Christoph Kolbicz, автор утилиты SetUserFTA (Set User File Type Associations). Подробнее об этом можно почитать в блоге Кристофа: SetUserFTA: UserChoice Hash defeated – Set File Type Associations per User or Group on Windows.